TLS를 사용하고 있다면 비밀번호는 암호화된 상태로 전송됩니다. TLS를 사용하지 않는다면, 어떤 방법을 쓰든 큰 위험에 처하게 됩니다.
"암호화(encrypted)"가 아니라 "해싱(hashed)"을 의미했다면, 해싱 메커니즘이 공개된 인터페이스 계약의 일부가 아니며 언제든지 변경될 수 있으므로, 이는 지원되지 않는 설정입니다.
네, 맞습니다. 하지만 누군가가 노트북에 접근할 수 있다면, 해싱 과정을 거치기 전에 비밀번호를 캡처하는 키로거를 설치할 수 있습니다. Discourse(그리고 모든 웹 애플리케이션)의 보안 위협 모델에는 엔드포인트가 침해되지 않았다는 전제가 포함됩니다.